Quản lý rủi ro tác nghiệp của Ngân hàng Thương mại cổ phần Công thương Việt Nam 1669821519

b. Công cụ quản lý rủi ro tác nghiệp

Công cụ Thu thập dữ liệu tổn thất (LDC)

Theo Basel II [54] [55] việc theo dõi dữ liệu sự kiện tổn thất rất quan trọng đối với việc xây dựng và vận hành hệ thống đo lường RRTN. Dữ liệu tổn thất nội bộ rất quan trọng trong việc gắn các ước lượng rủi ro với kinh nghiệm tổn thất thực tế của Ngân hàng. Điều này có thể đạt được theo nhiều cách, bao gồm sử dụng dữ liệu tổn thất nội bộ như cơ sở cho các ước lượng rủi ro thực tế, như một phương thức kiểm định đầu vào và đầu ra của hệ thống đo lường rủi ro, hay như mối quan hệ giữa tổn thất thực tế với quyết định quản lý và kiểm soát rủi ro. Ngoài thông tin về tổng tổn thất (gross loss), Ngân hàng cần thu thập thông tin về ngày xảy ra sự kiện, mọi khoản thu hồi tổn thất, cũng như một số thông tin mô tả về các nhân tố hoặc nguyên nhân của sự kiện tổn thất. Mức độ chi tiết của thông tin mô tả phải phù hợp tương ứng với giá trị của tổng tổn thất.

Các tổn thất được theo dõi bởi Ngân hàng cần được hệ thống hóa theo từng lĩnh vực trọng yếu trong hoạt động kinh doanh và cần xây dựng các tiêu chí cụ thể để phân bổ dữ liệu tổn thất trong trường hợp một sự kiện RRTN xảy ra nhưng lại liên quan đến nhiều đơn vị kinh doanh trong cùng một thời điểm nhất định. Việc theo dõi và đánh giá tính toàn diện và thống nhất của dữ liệu tổn thất nội bộ bao gồm việc đối chiếu dữ liệu tổn thất với việc ghi nhận trên tài khoản tổng tổn thất.

Basel II cũng khuyến nghị: Hệ thống đo lường RRTN của Ngân hàng phải sử dụng dữ liệu bên ngoài có liên quan (hoặc dữ liệu công khai và/hoặc dữ liệu tổng hợp toàn ngành), đặc biệt là khi có lý do để tin rằng Ngân hàng đang chịu rủi ro phát sinh các tổn thất không thường xuyên, nhưng có khả năng nghiêm trọng. Dữ liệu bên ngoài này cần bao gồm dữ liệu về số tổn thất thực tế, thông tin về quy mô hoạt động kinh doanh nơi sự kiện xảy ra thông tin về nguyên nhân và hoàn cảnh phát sinh sự kiện tổn thất, hoặc các thông tin khác có thể giúp đánh giá mức độ liên quan của sự kiện tổn thất đối với các Ngân hàng khác.

Để QLRRTN nội bộ, các Ngân hàng phải xác định tất cả các tổn thất RRTN trọng yếu phù hợp với phạm vi của định nghĩa RRTN (bao gồm những tổn thất liên

quan đến rủi ro tín dụng). Tổn thất RRTN liên quan đến rủi ro tín dụng trọng yếu đó cần được phân tách riêng biệt trong cơ sở dữ liệu RRTN nội bộ của Ngân hàng. Liên quan đến dữ liệu bên ngoài, Basel II cho rằng: Hệ thống đo lường RRTN của Ngân hàng phải sử dụng dữ liệu bên ngoài có liên quan (hoặc dữ liệu công khai và/hoặc dữ liệu tổng hợp toàn ngành), đặc biệt là khi có lý do để tin rằng Ngân hàng đang chịu rủi ro phát sinh các tổn thất không thường xuyên, nhưng có khả năng nghiêm trọng. Dữ liệu bên ngoài này cần bao gồm dữ liệu về số tổn thất thực tế, thông tin về quy mô hoạt động kinh doanh nơi sự kiện xảy ra, thông tin về nguyên nhân và hoàn cảnh phát sinh sự kiện tổn thất, hoặc các thông tin khác có thể giúp đánh giá mức độ liên quan của sự kiện tổn thất đối với các Ngân hàng khác. Ngân hàng phải có Quy trình có hệ thống để xác định các tình huống, trong đó phải sử dụng dữ liệu bên ngoài và các phương pháp luận được sử dụng để kết hợp dữ liệu (ví dụ, mở rộng quy mô, các điều chỉnh định tính, hoặc thông báo tiến trình của phân tích kịch bản đã cải thiện). Các điều kiện và thông lệ để sử dụng dữ liệu bên ngoài phải được thường xuyên rà soát, lập thành văn bản, và phải được rà soát độc lập định kỳ. BLĐ cấp cao cần triển khai Qui trình để thường xuyên theo dõi hồ sơ rủi ro tác nghiệp và trạng thái chịu rủi ro tổn thất trọng yếu. Cơ chế báo cáo thích hợp cần được thiết lập ở cấp HĐQT, BLĐ cấp cao và các cấp nghiệp vụ kinh doanh để hỗ trợ việc chủ động QLRRTN.

Cột trụ số III trong Hiệp định Basel II yêu cầu các Ngân hàng phải có chính sách công bố thông tin kết quả đánh giá rủi ro, các thông tin nhận diện, theo dõi và giám sát rủi ro. Ngân hàng chỉ có thể đáp ứng yêu cầu của Basel II thể hiện ở việc cung cấp thông tin đầy đủ về các nội dung liên quan đến QLRRTN. Hệ thống báo cáo QLRRTN gồm các tiêu chuẩn:

Có thể bạn quan tâm!

Xem toàn bộ 238 trang tài liệu này.

(i) Tính chính xác: Các số liệu và thông tin trong báo cáo phải phản ánh đúng thực trạng của Ngân hàng;

(ii) Tính kịp thời: Thông tin trên các báo cáo phải được liên tục cập nhật đồng thời phù hợp với thực trạng hiện tại của Ngân hàng.

(iii) Tính tiện dụng: Các báo cáo phải được gửi tới những người quan tâm thông qua kênh trao đổi thông tin hiệu quả,

(iv) Tính linh hoạt: Các báo cáo phải được xây dựng và hình thành trên nhiều chiều thông tin khác nhau phục vụ nhiều mục đích quản lý đồng thời cung cấp cái nhìn toàn diện về quản lý rủi ro trong hoạt động Ngân hàng.

(v) Tính minh bạch: Các báo cáo phản ánh trung thực và đầy đủ thông tin về hoạt động quản lý rủi ro trong hoạt động Ngân hàng. Tính minh bạch của các báo cáo là cơ sở giúp các đon vị, bộ phận trong Ngân hàng có thể tiếp cận các nguồn thông tin thiết thực phục vụ công tác quản lý rủi ro của Ngân hàng.

Công cụ nhận diện rủi ro và đánh giá biện pháp kiểm soát (Risk Control Self Assessment - RCSA)

Theo Basel II [54]: Tự đánh giá biện pháp kiểm soát rủi ro (RCSA), về cơ bản là đánh giá rủi ro vốn có (rủi ro trước khi các biện pháp kiểm soát được xem xét), tính hiệu quả của môi trường kiểm soát, và rủi ro còn lại (khả năng xảy ra rủi ro sau khi các biện pháp kiểm soát được xem xét). Thẻ tính điểm xây dựng dựa trên RCSA bằng cách xác định trọng số đối với các rủi ro còn lại để tạo ra phương tiện để chuyển đổi kết quả đầu ra của RCSA thành các thước đo cho phép xếp hạng so sánh đối với môi trường kiểm soát. BLĐ cấp cao nên đảm bảo việc nhận diện và đánh giá RRTN vốn có trong mọi sản phẩm, hoạt động, Quy trình và hệ thống trọng yếu nhằm đảm bảo các rủi ro vốn có và động cơ được am hiểu tường tận.

Nhận diện RRTN và đánh giá mức độ kiểm soát rủi ro thông qua hội thảo, phỏng vấn và các phiếu điều tra. Lộ trình nhận diện rủi ro và đánh giá biện pháp kiểm soát (RCSA) từ việc (i) Đánh giá môi trường kiểm soát (mức độ tăng trưởng/thay đổi, mức độ cạnh tranh, các thay đổi và yêu cầu cùa cơ quan quản lý, tính phức tạp của công nghệ/năng lực nhân sự...(ii) Lập danh mục rủi ro theo nghiệp vụ hoặc theo nhiều loại rủi ro từ đó đưa ra đánh giá về mức độ rủi ro tác nghiệp tổng thể tại thời điểm đánh giá (iii) Thực hiện các quy trình nhận diện rủi ro và các biện pháp kiểm soát, xác định cụ thể các bước quy trình nào có chốt kiểm soát yếu kém, lập hồ sơ các biện pháp kiểm soát hiện có và xác định điểm rủi ro, đánh giá

điểm mạnh của thiết kế kiểm soát, (iv) Đánh giá chi tiết và tổng thể về rủi ro đã được xác định, tính toán mức độ tổn thất, xếp loại rủi ro. Các mức xếp hạng điểm được sử dụng cho các tác động gián tiếp và sử dụng để thiết lập các báo cáo đánh giá RRTN. (v) Rà soát các kết quả RCSA trong phạm vi đơn vị đánh giá với những biện pháp ứng xử đối với mức độ RRTN cụ thể tương ứng với khẩu vị RRTN đã được thiết lập. Một biện pháp kiểm soát được lập ra có thể có một hoặc các tính chất như mang tính ngăn chặn/giảm thiểu; mang tính phát hiện; mang tính khắc phục. Một biện pháp kiểm soát có thể tác dụng cho một hoặc nhiều các rủi ro khác nhau; Một rủi ro có thể có một số các biện pháp kiểm soát rủi ro chính và một số biện pháp kiểm soát rủi ro bổ trợ. (vi) Đánh giá lại điểm rủi ro sau khi thực hiện các biện pháp giảm thiểu RRTN.

Công cụ xây dựng và quản lý chỉ số rủi ro chính (Key Risk Indicator

- KRI)

Theo Basel II [54], Các chỉ số rủi ro và hiệu quả hoạt động chính là các thước đo rủi ro và/hoặc số liệu thống kê cho phép đánh giá khả năng phát sinh rủi ro của Ngân hàng. Chỉ số rủi ro, thường được gọi là Chỉ số Rủi ro chính (KRIs), được sử dụng để theo dõi các nhân tố chính đẫn đến trạng thái chịu rủi ro liên quan đến các rủi ro chính. Các chỉ số hiệu quả hoạt động, thường được gọi là các chỉ số hiệu quả hoạt động chính (KPIs), cho phép đánh giá trạng thái của các qui trình hoạt động, là cơ sở để đánh giá các điểm yếu về hoạt động, những thất bại và tổn thất tiềm tàng. Các chỉ số rủi ro và các chỉ số hiệu quả hoạt động thông thường hiện hữu song song với các cảnh báo mức độ để đưa ra cảnh báo khi mức độ rủi ro tiệm cận hoặc vượt quá ngưỡng hoặc giới hạn và kích hoạt các kế hoạch giảm thiểu rủi ro.

Quan điểm quản lý KRI trên thế giới theo 2 chiều riêng biệt:

(i) Top down KRIs: KRIs từ trên xuống nghĩa là các KRIs được thiết lập bởi các nhà quản lý, các lãnh đạo cấp cao dựa trên các thông tin rủi ro vĩ mô như số lượng các tài khoản thẻ trễ hạn, phần trăm thay đổi số lượng khách hàng...

(ii) Bottom up KRIs - KRIs từ dưới lên là các KRIs do các đơn vị kinh doanh lựa chọn và dựa trên sự cần thiết của hoạt động kinh doanh. Đặc tính của KRIs này có thể rất linh hoạt thay đổi điều chỉnh dựa trên thực tế hoạt động kinh doanh.

KRls cũng có các cấp độ cụ thể (i) cấp toàn hàng - thể hiện mức độ tổng quát nhất phản ánh được các RRTN trọng yếu nhất (ii) cấp Khối nghiệp vụ - thể hiện mức độ các RRTN trọng yếu theo nghiệp vụ.

Việc thực hiện thiết lập và theo dõi KRI được thể hiện thông qua hệ thống báo cáo với các số liệu KRIs cụ thể, theo dõi sự biến động của số liệu để có những cảnh báo và giải pháp kịp thời nhằm ngăn chặn các hoạt động làm vượt ngưỡng KRIs. Hệ thống cảnh báo cũng được thông báo qua hệ thống email hoặc các phương tiện thông tin sử dụng tại mỗi NHTM hay các tổ chức tài chính.

Như vậy, quá trình thực hiện QLRRTN của các NHTM gồm các bước nhận diện và đánh giá; kiểm soát và báo cáo; kiểm soát và giảm thiểu, duy trì hoạt động kinh doanh liên tục thông qua các công cụ QLRRTN khác nhau. Phạm vi nghiên cứu này không xét đến các công cụ QLRRTN khác mà Basel II [38] đã đề cập như phân tích kịch bản, thuê ngoài... tác giả tập trung vào các công cụ quan trọng nhất mà các NHTM trên thế giới thường áp dụng khi bắt đầu triển khai Basel II, đó là LDC, RCSA, KRI. Theo đó, khái niệm của các công cụ như sau:

Thu thập dữ liệu tổn thất (LDC): Là quá trình thực hiện thu thập, phân tích và đánh giá mức độ ảnh hưởng của về các sự kiện RRTN nhằm mục tiêu nhận diện, đo lường và giảm thiểu RRTN.

Tự nhận diện rủi ro và đánh giá các biện pháp kiểm soát (RCSA): Là quá trình thực hiện tự nhận diện rủi ro và đánh giá các biện pháp kiểm soát hiện có trong từng nghiệp vụ nhằm xây dựng kế hoạch hành động giảm thiểu RRTN.

Xây dựng và quản lý Chỉ số rủi ro chính (KRI): Là quá trình thiết lập các chỉ số rủi ro trọng yếu, theo dõi và giám sát nhằm nhận diện, đo lường, giám sát và thực hiện các kế hoạch hành động giảm thiểu RRTN.

Tiêu chí để đo lường mức độ ảnh hưởng của quá trình QLRRTN đến hiệu quả QLRRTN là (i) các Chính sách/Quy trình được thiết lập (ii) báo cáo kết quả

thực hiện (iii) việc giám sát và cải tiến liên tục (iv) Mức độ độc lập triển khai của Bộ phận QLRRTN trong quá trình QLRRTN.

Công cụ Quản lý kinh doanh liên tục (Business Continuity Management - BCM)

Quản lý kinh doanh liên tục là một trong số những công cụ quản lý rủi ro tác nghiệp nhằm mục đích giảm thiểu tối đa nguy cơ xảy ra gián đoạn, gây ảnh hưởng tới hoạt động kinh doanh liên tục của ngân hàng; phản ứng đầy đủ và kịp thời khôi phục hoạt động trọng yếu về trạng thái bình thường theo thời hạn yêu cầu, giảm thiểu tới mức thấp nhất các thiệt hại có thể phát sinh, bao gồm cả thiệt hại về tài chính và phi tài chính trong trường hợp xảy ra gián đoạn.

Để thực hiện công cụ BCM, các ngân hàng phải xây dựng các nội dung chung về tổ chức và quản lý kinh doanh liên tục đảm bảo tính chất thông suốt trong hoạt động kinh doanh (i) Ban hành quy định xử lý các trường hợp khẩn cấp để sẵn sàng các phương án xử lý khi phát sinh rủi ro, đảm bảo uy tín và an toàn của ngân hàng; (ii) Ban hành các quy định và phân công xây dựng phương án bảo vệ các hạng mục trọng yếu của Ngân hàng để phòng ngừa và ứng phó nếu khủng bố xảy ra; (iii) Xây dựng hệ thống dự phòng thảm họa DRP (Disaster Recover Plan) cho các hệ thống công nghệ thông tin quan trọng như core banking, thanh toán, ebanking,... và tổ chức diễn tập hàng năm để phòng ngừa rủi ro gián đoạn và đảm bảo tính liên tục trong hoạt động kinh doanh; (iv) Xây dựng phương án phòng chống bão lũ, hỏa hoạn, thiên tai tại các trụ sở của chi nhánh và tổ chức diễn tập hàng năm nhằm chuẩn bị sẵn sàng đối phó nếu rủi ro phát sinh thực tế.

Việc áp dụng công cụ BCM phải phù hợp với chiến lược và khẩu vị rủi ro của ngân hàng, đồng thời kế hoạch và việc thực hiện công cụ BCM phải được phổ biến và tập huấn cho nhân viên toàn hàng.

c. Phân bổ vốn cho quản lý rủi ro tác nghiệp

Theo Uỷ ban Basel, có ba phương pháp để tính toán yêu cầu về vốn cho rủi ro tác nghiệp, theo thứ tự gia tăng dần về mức độ phức tạp và sự nhạy cảm với rủi ro: (i) Phương pháp Chỉ số Cơ bản; (ii) Phương pháp Chuẩn hoá; và (iii) Phương pháp Đo lường Tiên tiến (AMA).

Cùng với quá trình phát triển dần độ phức tạp của các hệ thống và quy tắc đo lường rủi ro tác nghiệp trong Ngân hàng mình, các Ngân hàng được khuyến khích chuyển lên áp dụng các phương pháp đo lường phức tạp hơn trong hệ thống các phương pháp nêu trên. Các tiêu chuẩn để một Ngân hàng được phép áp dụng Phương pháp Chuẩn hoá và Phương pháp Đo lường Tiên tiến bao gồm:

- Các Ngân hàng hoạt động trên phạm vi quốc tế và các Ngân hàng có mức độ rủi ro tác nghiệp cao (ví dụ như các Ngân hàng chuyên thực hiện nghiệp vụ thanh toán) cần sử dụng các công cụ, áp dụng phương pháp sao cho phù hợp với mức độ rủi ro và tính phức tạp của Ngân hàng. Một Ngân hàng sẽ được phép sử dụng Phương pháp Chỉ số cơ bản hoặc Phương pháp Chuẩn hoá cho một số bộ phận hoạt động và Phương pháp Đo lường Tiên tiến (AMA) cho những lĩnh vực hoạt động khác, với điều kiện là Ngân hàng đó đáp ứng được các chỉ tiêu tối thiểu nhất định.

- Các Ngân hàng cần được sự phê chuẩn của Cơ quan quản lý Ngân hàng để áp dụng phương pháp đo lường đơn giản hơn thay thế cho phương pháp đo lường tiên tiến đang sử dụng. Ngoài ra, nếu Cơ quan quản lý Ngân hàng xác định rằng phương pháp tiên tiến mà Ngân hàng đang sử dụng không còn đáp ứng được các tiêu chuẩn đề ra, thì Cơ quan quản lý Ngân hàng có thể yêu cầu Ngân hàng trở lại áp dụng phương pháp đơn giản hơn trong một vài hoặc toàn bộ lĩnh vực hoạt động của Ngân hàng cho đến khi Ngân hàng đáp ứng được điều kiện do Cơ quan quản lý Ngân hàng đặt ra để được phép áp dụng phương pháp tiên tiến hơn.

Phương pháp Chỉ số Cơ bản (Business Impact Analysis - BIA)

Các Ngân hàng sử dụng Phương pháp Chỉ số Cơ bản phải duy trì vốn tự có cho rủi ro tác nghiệp tương ứng bằng một tỷ lệ cố định nào đó (ký hiệu là al -pha) của lợi nhuận gộp hàng năm bình quân, trong thời gian 3 năm. Phần vốn này được tính theo công thức sau:

KBIA = GI x α

Trong đó:

KBIA = Yêu cầu về vốn trong Phương pháp Chỉ số Cơ bản

GI = Lợi nhuận gộp dương hàng năm bình quân trong thời gian ba năm trước đó.

α = 15%. Tỷ lệ này do Uỷ ban Basel đặt ra, phản ánh mối liên hệ giữa lượng vốn yêu cầu chung của toàn ngành với chỉ số chung của toàn ngành.

Lợi nhuận gộp được tính bằng doanh thu lãi ròng cộng với doanh thu phí ròng.

Hiệp ước Basel mới không đặt ra các điều kiện cụ thể để được phép áp dụng Phương pháp Chỉ số Cơ bản đối với Ngân hàng. Tuy nhiên các Ngân hàng sử dụng phương pháp này được khuyến khích tuân theo hướng dẫn của Uỷ ban Basel về Thông lệ tốt cho Quản lý và Giám sát Rủi ro Tác nghiệp [56].

Phương pháp Chuẩn hoá (Standardised Analysis - SA)

Trong phương pháp Chuẩn hoá, các hoạt động Ngân hàng được chia thành 8 mảng dịch vụ: Tài chính doanh nghiệp, thương mại & bán hàng, Ngân hàng bán lẻ, Ngân hàng thương mại, thanh toán, dịch vụ đại lý, quản lý tài sản và môi giới bán lẻ.

Trong mỗi mảng dịch vụ, lợi nhuận gộp là một chỉ số phản ánh hiệu quả, quy mô hoạt động của mảng dịch vụ đó, do vậy, cũng phản ánh mức độ rủi ro tác nghiệp của mỗi mảng dịch vụ. Yêu cầu về vốn cho mỗi mảng dịch vụ được tính bằng việc nhân lợi nhuận gộp với một hệ số (hệ số beta cho trước) áp dụng cho mảng dịch vụ đó. Hệ số beta phản ánh tương quan trong phạm vi toàn ngành giữ a các tổn thất từ rủi ro tác nghiệp ghi nhận trong thực tế với quy mô lợi nhuận gộp của ngành ấy với mỗi một loại hình dịch vụ. Cần phải lưu ý rằng, trong Phương pháp Chuẩn hoá, lợi nhuận gộp được đo lường cho mỗi mảng dịch vụ, chứ không tính chung cho cả Ngân hàng, cụ thể: Trong mảng tài chính doanh nghiệp, chỉ số này là toàn bộ lợi nhuận gộp thu được từ hoạt động tài chính doanh nghiệp của Ngân hàng.

Tổng số yêu cầu về vốn được tính bằng cách cộng các yêu cầu về vốn của mỗi mảng dịch vụ với nhau. Tổng yêu cầu về vốn có thể được tính bằng công thức sau:

KTSA = Σ (GI1-8 x β1-8)

Xem toàn bộ nội dung bài viết ᛨ